Redlinedas Kleingedruckte, entschlüsselt

Vertragsfalle · Datenschutz

Daten an Dritte verkauft

Der Betreiber behält sich vor, personenbezogene Daten, Browsing-, Standort-, Fahr- oder Kaufdaten an „Partner“, verbundene Unternehmen, Werbetreibende oder Datenhändler für deren eigene Zwecke zu verkaufen, zu lizenzieren oder weiterzugeben (oft neben der Aussage, man verkaufe keine Daten); die Empfänger werden nur als „Dritte“ beschrieben; und pseudonymisierte oder aggregierte Daten werden zu „keine personenbezogenen Daten“ erklärt und ohne Grenze nutzbar.

Schwere
Gravierend
Wie oft sie vorkommt
Fast immer
Hält sie?
Hängt vom Land ab
Formulierungen
24

So steht es im Vertrag

Redline gleicht diese Formulierungen wörtlich mit Ihrem Dokument ab. Verwender erfinden selten neue Sätze — sie kopieren sie, deshalb tauchen dieselben Formulierungen in völlig verschiedenen Verträgen auf.

In englischsprachigen Verträgen

  • we may sell
  • share with our partners
  • affiliates and subsidiaries
  • for their own marketing purposes
  • in exchange for valuable consideration
  • we do not sell your personal information, except
  • data partners
  • consumer reporting agencies
  • any third party we deem appropriate
  • subprocessors may change from time to time
  • de-identified or aggregated information is not personal information
  • we may use and share anonymized data for any purpose

In russischsprachigen Verträgen

  • передавать персональные данные партнёрам
  • третьим лицам в маркетинговых целях
  • аффилированным лицам Оператора
  • партнёрам Оператора для предложения товаров и услуг
  • поручить обработку персональных данных третьим лицам
  • без дополнительного согласия Пользователя
  • любым третьим лицам
  • неопределённому кругу лиц
  • перечень третьих лиц может изменяться
  • в том числе, но не ограничиваясь
  • обезличенные данные не являются персональными данными
  • Оператор вправе использовать обезличенные данные без ограничений

Prüfen Sie Ihren eigenen Vertrag

Fügen Sie eine Klausel, eine Seite oder das ganze Dokument ein. Nichts verlässt Ihren Browser: der Abgleich läuft hier auf dieser Seite gegen die Formulierungen oben.

Vollständige Prüfung dieses Dokuments

Warum das wehtut

Die Daten verlassen die Beziehung vollständig — Datenhändler verkaufen sie an Versicherer, Arbeitgeber und Kreditgeber weiter (Fahrdaten von GM landeten in Risikoscores, die „anonymisierten“ Browsingdaten von Avast gingen an über hundert Käufer und waren re-identifizierbar); Auskunft und Löschung sind gegenüber Empfängern, die Sie nicht kennen, nicht durchsetzbar.

Ist das bei Ihnen wirksam

Dieselbe Klausel kann im einen Land üblich und im anderen unwirksam sein. Es folgt, was das Recht dort sagt, wo Sie sind — keine Beurteilung Ihres konkreten Vertrags.

Die DSGVO verlangt für jede Verarbeitung eine Rechtsgrundlage (Art. 6), verbietet die Kopplung von Leistung und überschießender Einwilligung (Art. 7 Abs. 4) und gibt Ihnen Auskunft und Löschung (Art. 15, 17); besondere Kategorien sind nach Art. 9 grundsätzlich untersagt.

USA

  • Fundstelle
  • CCPA
  • CPRA
  • FTC Act §5

Europäische Union

  • Fundstelle
  • GDPR Art 6

Vereinigtes Königreich

  • Fundstelle
  • CMA37
  • GDPR
  • ICO
  • PECR

Russland

  • Fundstelle
  • 152-ФЗ
  • 233-ФЗ
  • ст. 13.11 КоАП
  • ст. 14.8 КоАП
  • ст. 15
  • ст. 6 ч. 3

Wo das tatsächlich passiert ist

Behördenverfahren, Gerichtsentscheidungen und die Verträge, um die gestritten wurde.

  • FTC v. Avast (Feb 2024) — $16.5M, 'anonymised' browsing data sold via Jumpshot to 100+ third parties and re-identifiable
  • California AG v. Sephora (Aug 2022) — $1.2M, undisclosed 'sale' via ad cookies and ignoring GPC signals
  • FTC v. General Motors/OnStar (16 Jan 2025) — 5-year ban on disclosing driving/geolocation data to consumer reporting agencies; Texas AG v. Allstate/Arity (Jan 2025)
  • FTC v. X-Mode/Outlogic and InMarket (Jan 2024), Gravy Analytics/Venntel and Mobilewalla (Dec 2024) — bans on selling sensitive location data
  • DPC v. WhatsApp (Sept 2021) — €225M for opaque information about recipients and processing
  • 233-ФЗ от 08.08.2024 and Приказ Роскомнадзора № 140 (2025) — обезличивание methods and mandatory transfer to ГИС from 1 Sept 2025

Was zu tun ist

Der Reihe nach: von der Sache einer Minute bis zu der, für die ein Brief nötig ist.

  1. Nach „verkaufen“, „teilen“, „Partner“, „verbundene Unternehmen“ und „pseudonymisiert“ suchen
  2. Jede Widerspruchsmöglichkeit nutzen und Bestätigungen aufbewahren
  3. Die Liste der Empfänger und Auftragsverarbeiter schriftlich verlangen (Art. 13 und 15 DSGVO)
  4. In der EU braucht die Weitergabe zu Werbezwecken Dritter eine Einwilligung, und Sie können ihr nach Art. 21 DSGVO jederzeit widersprechen
  5. Bei Auto-, Fitness-, Gesundheits- und Sicherheitsprodukten gehen Sie davon aus, dass die Daten verwertet werden, solange die Erklärung nichts anderes sagt.

Eigenes Dokument prüfen

Klauseln, die meist mitkommen

Wer eine dieser Klauseln verwendet, verwendet meist gleich mehrere.

79 Klauseln · 1789 Formulierungen im Wortlaut